Tags
Browse and search tags. Each tag has a beginner-friendly explanation page.
C
10,251
Explanation coming soon
Programming Languages
Denial of Service
8,702
Explanation coming soon
Attack Types
Cwe 79
8,678
CWE-79は「Webアプリがユーザー入力をきちんと無害化せずに画面に出力してしまう欠陥」のことです。
結果として、攻撃者はWebページに悪意あるJavaScriptを埋め込めるようになり、見た人のCookie (ログイン情報) や入力情報を盗めるようになります。
対策はWebの基本中の基本: 出力時のHTMLエスケープです。
CWE
Cross-Site Scripting
8,062
XSSは「Webページの中に、攻撃者の悪意あるJavaScriptを忍び込ませる」攻撃です。
例えば掲示板に `<script>盗む()</script>` のような投稿をして、それを見た他のユーザーのCookie (ログイン情報) を盗む、といった攻撃が典型的です。
対策は「ユーザー入力を画面に出すときに、HTMLとして無害化 (エスケープ) する」こと。多くのフレームワークでは標準で対策されています。
Attack Types
Linux
7,894
Explanation coming soon
Operating Systems
Vendors
Linux Kernel
7,820
Explanation coming soon
Microsoft
7,376
Microsoftは Windows、Office、Azure、Active Directory などを提供する世界最大のソフトウェア企業のひとつです。
企業の業務システムの大半が Microsoft 製品で動いているため、Microsoft製品の脆弱性は常に最重要監視対象です。
毎月第2火曜日 (Patch Tuesday) に脆弱性修正がまとめて配信されます。
Vendors
PHP
5,972
PHPはサーバーサイドで動くプログラミング言語で、Webサイトの裏側を作るのに広く使われています。
WordPress、Laravel、Drupalなど、世界中の多くのサイトの土台になっています。
セキュリティ脆弱性の文脈では「インジェクション系」(攻撃文字列を実行させる) や「ファイルアップロードの不備」が典型的な弱点として知られています。
Programming Languages
Vendors
Products
WordPress
5,433
WordPressは世界中のWebサイトの約4割で使われているCMS (コンテンツ管理システム) です。
ブログ、企業サイト、ECサイトなど、プログラミング知識なしでサイトを作れるため非常に普及しています。
だからこそ攻撃者の標的にもなりやすく、プラグインの脆弱性経由で乗っ取られるケースが頻繁に報告されています。
Web Frameworks
CMS
Vendors
Google
4,741
Explanation coming soon
Vendors
Cwe 89
4,152
CWE-89は「Webアプリがユーザー入力をきちんとパラメータ化せずにSQL文に埋め込んでしまう欠陥」のことです。
攻撃者はSQL文の構造を書き換えてデータベースを直接操作でき、全ユーザーのID/パスワードを抜く・データ改ざん・データベース全削除など何でもされます。
対策は「プリペアドステートメント (パラメータ化クエリ)」を必ず使うこと。
CWE
JavaScript
4,123
JavaScriptはブラウザの中で動くプログラミング言語で、ボタンを押したときの動きやページの動的な変化を担当します。
近年は Node.js でサーバー側でも使われ、Webアプリ全体で最も使われている言語のひとつです。
脆弱性の文脈では XSS (クロスサイトスクリプティング) という、攻撃者がページに悪意あるスクリプトを混入させる攻撃が代表的です。
Programming Languages
Oracle
4,038
Explanation coming soon
Vendors
Cwe 862
4,031
Explanation coming soon
CWE
Cwe 284
4,027
Explanation coming soon
CWE
Cwe 416
3,896
CWE-416は「メモリを解放した後にそのメモリを使ってしまう」欠陥です。
C/C++のような手動メモリ管理言語で頻発し、攻撃者はこれを利用して任意のコードを実行できることが多いです。
ブラウザのJavaScriptエンジン (V8, JavaScriptCore) でよく見つかり、ブラウザ経由のゼロデイ攻撃の典型的な原因となります。
CWE
SQL Injection
3,878
SQLインジェクションは「Webフォームに特殊な文字列を入れて、データベースに不正な命令を実行させる」古典的な攻撃です。
たとえばログイン画面で `' OR '1'='1` と入力するだけでパスワードチェックを回避できる、というのが最も有名な例です。
対策は「プリペアドステートメント」を使うことで、初学者向けの教科書にも載っている基本中の基本ですが、いまだに世界中で被害が続いています。
Attack Types
Apple
3,263
AppleはmacOS, iOS, iPadOS, watchOS等のOSと、iPhone・Mac等のハードウェアを提供しています。
特にiOSは世界中のスマートフォンの約3割を占め、企業の役員クラスや要人がiPhoneを使う比率が高いため、ゼロデイ脆弱性は国家レベルのスパイウェア (Pegasus等) で悪用されることがあります。
Vendors
Chrome
3,244
Explanation coming soon
Products
Cwe 119
3,182
CWE-119は「C/C++など低レベル言語で、配列の確保された範囲外にデータを読み書きしてしまう欠陥」のことです。
バッファオーバーフローやヒープオーバーフローと呼ばれる古典的な脆弱性で、攻撃者はこれを使って任意のコード実行を狙います。
ブラウザ・OS・ファームウェアなど低レベルなシステムで頻発します。
CWE
Cwe 200
3,138
Explanation coming soon
CWE
Cwe 125
3,115
Explanation coming soon
CWE
Remote Code Execution
2,905
RCE (Remote Code Execution) は「攻撃者が遠隔から、サーバー上で任意のプログラムを実行できる」最も深刻な脆弱性です。
これが成立すると、サーバー全体が乗っ取られ、データ全削除・暗号通貨マイニング・ランサムウェア感染・他社攻撃の踏み台化など何でもされます。
セキュリティ業界では「最悪レベル」「最優先で塞ぐべき」と扱われます。
Attack Types
Cwe 20
2,856
CWE-20は「ユーザーから受け取ったデータが、想定された形式・範囲・型かをきちんとチェックせずに使ってしまう欠陥」のことです。
非常に広い概念で、SQLi・XSS・コマンドインジェクションなど多くの攻撃の前段階となります。
「入力は信用するな (Trust Boundaries の概念)」がセキュリティ設計の基本原則です。
CWE
Cwe 22
2,769
CWE-22は「ファイル名のパスをユーザー入力から組み立てるとき、`../` のような相対パス記号をきちんと無害化せず、本来アクセスできないファイルを読み書きされてしまう欠陥」のことです。
ファイルダウンロード機能・画像表示機能・テンプレート機能でよく見られます。
対策は「絶対パスへの正規化 + 許可されたディレクトリ内かのチェック」、または「ファイル名にIDのみを使い、パス記号を一切使わない設計」。
CWE
Cwe 787
2,517
CWE-787はCWE-119の中でも特に「メモリの確保された範囲外に書き込んでしまう」欠陥です。
書き込みできるとプログラムを完全に乗っ取れる (任意コード実行) ことが多く、CVSSスコアが極めて高くなりがちです。
MITREの「危険な脆弱性Top 25」で常に上位を占めています。
CWE
Windows
2,341
Explanation coming soon
Operating Systems
Products
Windows Server 2016
2,321
Explanation coming soon
Windows Server 2019
2,168
Explanation coming soon
macOS
2,139
Explanation coming soon
Operating Systems
Products
Debian
2,109
Explanation coming soon
Operating Systems
Debian Linux
2,100
Explanation coming soon
Path Traversal
2,049
パストラバーサルは「ファイル名を指定する箇所に `../../../etc/passwd` のような文字列を入れて、本来アクセスできないファイルを読み出す」攻撃です。
ファイルダウンロード機能や画像表示機能でよく見られます。
対策は「ユーザー入力のファイル名を、必ずホワイトリスト・固定ディレクトリに制限する」こと。
Attack Types
Windows Server 2022
2,033
Explanation coming soon
Cwe 78
2,021
CWE-78は「ユーザー入力をシェルコマンドの一部として使うとき、適切にエスケープせず、攻撃者がコマンドを追加実行できてしまう欠陥」のことです。
例えば `ping {ユーザー入力IP}` の {ユーザー入力IP} に `; rm -rf /` のような文字列を入れられると、サーバー上のファイルが削除されます。
対策は「シェル経由を避け、引数を配列として直接渡す (PHPなら escapeshellarg)」。
CWE
Windows Server 2025
1,908
Explanation coming soon
Cwe 94
1,870
CWE-94は「攻撃者が送ったデータが、プログラムコードとして解釈・実行されてしまう」欠陥です。
Pythonの `eval()`・PHPの `eval()`/`include()` にユーザー入力を渡すような実装が典型例です。
リモートコード実行 (RCE) の直接的な原因となるため、最も重大なクラスの脆弱性です。
CWE
Cwe 863
1,865
Explanation coming soon
CWE
Windows 11 24H2
1,852
Explanation coming soon
Android
1,835
Explanation coming soon
Mobile Platforms
Vendors
Windows 10 1809
1,825
Explanation coming soon
Windows 11 25H2
1,813
Explanation coming soon
Cwe 639
1,804
Explanation coming soon
Cwe 122
1,799
Explanation coming soon
CWE
Cwe 74
1,796
Explanation coming soon
CWE
Cwe 918
1,775
Explanation coming soon
CWE
Windows Server 2012
1,764
Explanation coming soon
Windows 10 22H2
1,758
Explanation coming soon
Windows 10 21H2
1,754
Explanation coming soon
Cwe 476
1,730
Explanation coming soon
CWE
Windows 11 26H1
1,708
Explanation coming soon
Ibm
1,678
Explanation coming soon
Vendors
Cwe 306
1,673
Explanation coming soon
CWE
Windows 10 1607
1,564
Explanation coming soon
Apache
1,527
Explanation coming soon
Web Frameworks
Vendors
Products
Privilege Escalation
1,502
Explanation coming soon
Attack Types
Windows 11 23H2
1,471
Explanation coming soon
Adobe
1,454
Explanation coming soon
Vendors
Java
1,446
Javaは銀行・証券・保険など大企業の業務システムで広く使われている老舗プログラミング言語です。
Androidアプリも基本的にJavaまたはKotlin (Java互換) で書かれています。
脆弱性の文脈では、デシリアライゼーション攻撃やライブラリ (Log4j等) の脆弱性が世界的な事件を起こしてきました。
Programming Languages
Vendors
Cwe 400
1,427
Explanation coming soon
CWE